Das Gesamtprogramm: Geltungsbereich, Grundsätze, Rollen und wie alle anderen Richtlinien dieser Seite zusammenhängen.
01Zweck und Geltungsbereich
Diese Richtlinie legt fest, wie Mentornity die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen schützt, die ihm von den Organisationen, die Mentoring- und Coaching-Programme auf der Plattform betreiben, und von deren Teilnehmenden anvertraut werden.
Sie umfasst die Mentornity-Webanwendung, das Admin-Panel, die öffentliche API und Webhooks, den KI-Assistenten und den MCP-Connector, den E-Mail-Versand, Videomeetings sowie die Infrastruktur, Menschen und Lieferanten, die sie betreiben.
02Grundsätze
- Minimale Rechte. Menschen, Dienste und Maschinenidentitäten erhalten nur den Zugriff, den ihre Aufgabe erfordert, begrenzt nach Rolle, Ressourcen-Tag und Region.
- Defence in Depth. Netzwerktrennung, authentifizierte und autorisierte API-Routen, Verschlüsselung bei Übertragung und Speicherung sowie Monitoring sind geschichtet, sodass keine einzelne Kontrolle die ganze Last trägt.
- Alles als Code. Server, Netzwerke, Berechtigungen, Alarme und Deployments sind in versioniertem Terraform, Ansible und CI-Workflows definiert und ändern sich nur über geprüfte Pull Requests.
- Datenminimierung. Die Plattform speichert, was ein Programm zum Laufen braucht, Logs halten 30 Tage lang, was der Betrieb braucht, und Secrets erscheinen nie in Logs.
- Prüfen statt annehmen. Jede Prüfung, die die Produktion schützt, wird getestet, indem der Fehler, den sie abfangen soll, bewusst eingeschleust wird.
03Rollen und Verantwortlichkeiten
| Rolle | Verantwortung |
|---|---|
| Geschäftsleitung | Verantwortet diese Richtlinie, genehmigt den Zugang zur Produktion und ist Eskalationsstelle bei Sicherheitsvorfällen. |
| Engineering | Entwickelt und prüft Änderungen nach der Richtlinie zur sicheren Entwicklung und den OWASP-Kontrollen und betreibt die Infrastruktur. |
| Kundenorganisation | Verantwortliche für ihre Programmdaten: entscheidet, wer eingeladen wird, welche Rollen vergeben werden, was in Formularen erhoben wird und wie lange das Programm läuft. |
| Mentornity | Auftragsverarbeiter der Programmdaten nach Weisung des Kunden und Verantwortlicher nur für die eigenen Website-Besucher und Kundenkontakte. |
04Richtlinienwerk
Diese Richtlinie wird durch die spezifischeren Richtlinien im Mentornity Security Center ergänzt: Zugriffskontrolle, Verschlüsselung, Datenschutz, Log-Management, Schwachstellen- und Patch-Management, sichere Entwicklung, OWASP-Top-10-Kontrollen, Lieferantenrisikomanagement, Incident Response, Backup und Wiederherstellung, Business Continuity, KI und Datennutzung sowie verantwortungsvolle Offenlegung.
05Überprüfung
Die Richtlinien werden mindestens einmal jährlich und bei jeder Änderung der Architektur überprüft. Das Datum oben auf jeder Seite ist das Datum der letzten inhaltlichen Änderung.
06Kontakt
Fragen zu dieser Richtlinie, Sicherheitsfragebögen und Anfragen zum Auftragsverarbeitungsvertrag: privacy@mentornity.com.